Afgelopen maand stonden de Staat (het Ministerie van Justitie en Veiligheid) en SoftwareONE in de rechtbank tijdens een kortgeding over een aanbestedingsprocedure rondom standaardprogrammatuur. SoftwareONE maakte bezwaar tegen de voorwaarden die het Ministerie stelde op het gebied van de AVG, waaronder onbeperkte aansprakelijkheid voor resellers. De rechtbank gaat mee in het bezwaar van SoftwareONE en noemt deze voorwaarden disproportioneel.

Over de aanbesteding

In april 2024 deed het Ministerie van Justitie en Veiligheid twee aankondigingen voor de Europese openbare aanbestedingsprocedure voor de opdracht ‘Levering van standaardprogrammatuur en de daaraan gerelateerde dienstverlening’.

Op beide procedures is de Aanbestedingswet van toepassing.

Met beide aanbestedingen beoogt de Staat raamovereenkomsten te sluiten met de inschrijvers voor de aanbesteding (de resellers) die voor eigen rekening en risico software(licenties) van verschillende vendors (leveranciers) leveren aan deelnemers. Hierbij wenst de Staat door het sluiten van nadere overeenkomsten tussen de betreffende deelnemer en de reseller in de vorm van een sublicentie software af te nemen.

Het Ministerie wil voor dit perceel van de aanbesteding de opdracht aan maximaal 3 resellers (opdrachtnemers) gunnen, waarna een raamovereenkomst wordt gesloten.

Op de te sluiten overeenkomst zijn de ARBIT-2022 van toepassing.

Van ongegronde klachten tot kortgeding

Aan de aanbesteding worden volgens SoftwareONE disproportionele voorwaarden gesteld op het gebied van de AVG. Daarom dient deze reseller een klacht in bij Klachtenmeldpunt JenV, maar deze wordt ongegrond verklaard.

Daarop richt de reseller zich tot de Commissie van Aanbestedingsexperts, die de klacht van SoftwareONE wél gegrond verklaard.

Vervolgens verzoekt SoftwareONE het Ministerie van Veiligheid & Justitie om de procedure in te trekken en – indien het ministerie de opdracht nog wenst te verstrekken – over te gaan tot heraanbesteding. Het Ministerie geeft aan dit niet te willen doen, waarop de reseller een kortgedingprocedure start.

Overigens is bij SoftwareONE dan reeds bekend dat zij vierde is geworden in de aanbestedingsprocedure en de opdracht dus niet aan haar verleend is.

Wat zijn die disproportionele voorwaarden volgens de reseller?

Er zijn volgens de reseller 2 disproportionele voorwaarden in de raamovereenkomst en de ARBIT-2022 voorwaarden te vinden.

1. Verwerkersovereenkomst sluiten tussen de reseller en deelnemer i.p.v. tussen de deelnemer en de vendor zelf

In de raamovereenkomst stelt het Ministerie van Justitie en Veiligheid dat er een contract wordt gesloten met de reseller en dat deze dus ook verwerker is in de zin van de AVG. Als de reseller een subverwerker inschakelt (oftewel de vendor in kwestie), dan moet de reseller met die partij zelf een verwerkersovereenkomst sluiten. Deze (sub)verwerkersovereenkomst moet minimaal hetzelfde niveau van gegevensbescherming bieden als de verwerkersovereenkomst met de reseller zelf.

SoftwareONE vindt dit een vreemde stellinginname.

Een reseller verkoopt immers enkel de licenties door van de vendor en heeft geen toegang tot de persoonsgegevens. SoftwareONE draagt aan dat bijvoorbeeld gemeenten die onder de GIBIT-voorwaarden contracteren, wél rechtstreeks een verwerkersovereenkomst met de vendor sluiten.

 Daarbij merkt de reseller in het verweer ook het volgende op:

“Inmiddels hebben wij van meerdere Software Vendoren (waaronder, maar niet uitsluitend IBM, OpenText en SAP) een schriftelijk statement ontvangen dat zij niet bereid zijn om direct met een Reseller een verwerkersovereenkomst te sluiten, nu ook zij zich op het standpunt stellen dat zij niet in opdracht van de Reseller, maar in opdracht van de gebruiker van de software (= Aanbestedende dienst) persoonsgegevens verwerken.”

2. Onbeperkte aansprakelijkheid voor AVG-schendingen

In de ARBIT-2022 vervallen beperkingen van aansprakelijkheid in geval van aanspraken op schadevergoeding ten gevolge van schending van wet- en regelgeving op het terrein van de bescherming van persoonsgegevens of handelen in strijd met de rechtmatige instructies van de verwerkingsverantwoordelijke.

Dit houdt in dat er onder de ARBIT-2022 voor de opdrachtnemer onbeperkte aansprakelijkheid geldt bij AVG-schendingen.

In deze zaak betekent het dat er voor SoftwareONE als reseller onbeperkte aansprakelijkheid zou gelden.

Aangezien SoftwareONE geen toegang heeft tot de persoonsgegevens en slechts een doorverkoper is van licenties, wordt deze bepaling als disproportioneel ervaren.

Hoe oordeelt de rechtbank?

De rechtbank vindt ook dat er sprake is van disproportionaliteit in de voorwaarden.

Met betrekking tot de voorwaarde over het sluiten van een verwerkersovereenkomst met de reseller zelf, zegt de rechtbank:

“SoftwareOne heeft in deze procedures voldoende aannemelijk gemaakt dat de reseller het risico van het niet naleven van een verwerkersovereenkomst niet of nauwelijks kan beheersen in de gevallen waarin de reseller geen toegang heeft tot de persoonsgegevens en de vendor persoonsgegevens van de deelnemer verwerkt. SoftwareOne heeft er in dat verband op gewezen dat de reseller in dat geval zelf geen persoonsgegevens verwerkt, daarbij ook geen enkele feitelijke betrokkenheid heeft, geen toegang heeft tot de software en services waarop de persoonsgegevens worden bewaard en geen toegang heeft tot de persoonsgegevens die met het gebruik van de software (door de deelnemer) worden verwerkt. De reseller heeft daardoor geen controle of invloed op 1) hoe de deelnemer gebruik maakt van haar gebruiksrecht en 2) hoe de persoonsgegevens bij de vendor worden verwerkt, en dus ook niet op het naleven van de verwerkersovereenkomst.”

Met betrekking tot de onbeperkte aansprakelijkheid meent de rechtbank dat de reseller het risico voor AVG-schendingen niet of nauwelijks kan beheersen. Het is ook onzeker of deze onbeperkte aansprakelijkheid kan worden doorgezet naar de vendors. De voorwaarde wordt in deze zaak dan ook als disproportioneel gezien door de rechtbank.

Conclusie?

De gunningsbeslissingen kunnen niet in stand blijven en het Ministerie moet de aanbestedingen intrekken. Als het Ministerie dat wil, dan moet dit perceel opnieuw aanbesteed worden.

Blijf op de hoogte!

Zeker weten dat u niks mist? Abonneert u zich dan op onze maandelijkse nieuwsbrief en ontvang onze blogs automatisch in uw mailbox.